Auf den Punkt: ClickLock Stealer hebelt macOS-Schutzfunktionen durch aggressive Prozessbeendigung aus, um Benutzer zur Eingabe ihrer Passwörter zu bewegen und dann Browser, Wallets und Keychains auszuleiten.
Das IT-Sicherheitsunternehmen Group-IB hat eine neue Schadsoftware namens ClickLock Stealer entdeckt, die macOS-Systeme gezielt angreift und sensible Daten wie Passwörter und Kryptowährungs-Wallets stiehlt, indem es Sicherheitsprozesse blockiert und gefälschte Authentifizierungsdialoge einsetzt.
Group-IB identifizierte ClickLock Stealer Anfang Juni 2026. Erste Aktivitäten lassen sich bis mindestens Mai 2026 zurückverfolgen. Bislang wurden mindestens 100 betroffene Systeme in 33 Ländern dokumentiert, über die Hälfte davon in Europa. Die Schadsoftware zielt auf folgende Datentypen ab: Zugangsdaten aus Webbrowsern, Passwortmanager-Erweiterungen, Kryptowährungs-Wallets und deren Browser-Erweiterungen, Blockchain-Adressen aus sechs verschiedenen Blockchains, macOS-Schlüsselbund (Keychain), FTP-Zugangsdaten und Shell-History. Die gesammelten Daten werden komprimiert und über Telegram-Bot an die Angreifer übertragen.
Die Infektion beginnt mit Social-Engineering: Opfer werden über SEO-Poisoning, Social-Media-Posts oder kompromittierte Webseiten auf eine als Cloudflare-Sicherheitsprüfung getarnte Seite geleitet. Dort wird dem Benutzer ein Bash-Befehl zum manuellen Kopieren und Einfügen ins macOS-Terminal präsentiert. Wenn dieser ausgeführt wird, lädt das System ein zentrales Steuerungsskript herunter, das wiederum vier weitere Module nachlädt: einen Credentials-Stealer, einen Kryptowährungs-Stealer, einen Keychain-Stealer und ein Backdoor-Programm. Nach der Datenübertragung werden die Diebstahl-Module automatisch gelöscht, während das Backdoor-Programm dauerhaft verbleibt.
Die Schadsoftware benötigt keine Sicherheitslücken und lässt sich nicht automatisch esckalieren. Stattdessen nutzt sie Prozessbeendigung als Hauptmechanismus, um Schutzbarrieren zu umgehen. Das Steuerungsskript blendet ein gefälschtes macOS-Passwortfenster ein und beendet gleichzeitig alle sichtbaren Anwendungen, bis der Benutzer sein Passwort eingibt. Parallel läuft eine Hintergrundschleife, die das macOS NotificationCenter für etwa sechs Stunden kontinuierlich beendet und damit alle Gatekeeper- und Sicherheitswarnungen unterdrückt. Wenn die Schadsoftware den Verschlüsselungsschlüssel von Google Chrome aus dem Keychain abfragt, beendet sie im Hintergrund sämtliche Prozesse, bis der Zugriff gewährt wird. Zudem werden aktiv Anwendungen beendet, die der Benutzer zur Analyse des Angriffs einsetzen könnte.
Die genauen initialen Verteilungswege sind nicht vollständig aufgeklärt. Group-IB vermutet jedoch SEO-Poisoning, Social-Media-Kampagnen oder kompromittierte Webseiten als Angriffsvektor.
Quelle: www.it-daily.net · Erschienen 19. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.